L’association noyb (None of Your Business), connue pour son engagement en faveur de la protection des données personnelles, va déposer ce lundi matin un recours contre deux décisions de la Commission nationale pour la protection des données (CNPD).

Der neue gemeinnützige verein „noyb – Eurpäisches Zentrum für Digitale Rechte“ Max Schrems, Petra Leupold VKI, Christoph Tschohl. (©David Bohmann)

L’association noyb n’en est pas à son premier fait d’armes devant la justice en matière de protection des données personnelles. Son fondateur, l’Autrichien Max Schrems, s’est déjà fait un nom en affrontant les Gafa comme Facebook. Désormais flanqué d’une équipe qui partage son combat, il multiplie les litiges en justice pour faire avancer sa cause, c’est-à-dire pour imposer que les différents acteurs du numérique s’en tiennent aux lois et règlements existants.

Et c’est dans cette perspective que noyb a déposé un recours devant le tribunal administratif. L’histoire est assez simple : un résident luxembourgeois a trouvé ses données personnelles sur deux sites américains, Apollo et Rocket Reach. Ces sites collectionnent des données personnelles, comme des courriels, des numéros de téléphone et des profils sur les réseaux sociaux, pour en faire des dossiers qu’ils revendent ensuite à des agences de marketing. Or, le résident luxembourgeois, pas content qu’une firme se fasse de l’argent avec ses données personnelles, s’est donc adressé à ces services pour faire valoir ses droits d’accès et à l’effacement de ses données – des droits ancrés dans le RGPD.

N’ayant pas reçu de réponse adéquate à sa demande, le plaignant s’est donc tourné vers la CNPD, censée protéger ses droits. Après le dépôt des plaintes et plusieurs relances, celle-ci lui a finalement communiqué une fin de non-recevoir. Le motif de la commission est incroyable : les responsables du traitement des données (les firmes américaines) n’auraient pas de représentant sur le territoire de l’Union européenne ; c’est pourquoi aucune action ne pourrait être menée par la CNPD.

Pour Romain Robert, juriste belge et membre de noyb, c’est tout à fait incompréhensible : « Non seulement l’absence d’un représentant européen pour des firmes qui commercent avec des informations de citoyens européens est une violation du RGPD, mais c’est aussi un déni de justice », explique-t-il. En effet, la portée internationale du RGPD était une de ses composantes les plus intéressantes. Si désormais la CNPD, ou une autre organisation nationale européenne, décide que l’absence de représentant égale absence de poursuites, il suffirait logiquement de rester hors de l’Union européenne pour contourner le règlement européen.

Ce qui motive noyb, c’est moins de mettre en cause la CNPD que de lui rappeler qu’elle a les moyens de s’attaquer à des entreprises qui ne respectent pas le RGPD : « Je connais les problèmes de manque de personnel de ces structures », confirme Romain Robert. « Pourtant, cela ne doit pas être un argument pour ne pas faire respecter la loi. »

Ce sera donc au tribunal administratif, qui ne peut pas ignorer le RGPD, de décider si la CNPD doit sortir – enfin – ses crocs. Car elle a théoriquement les moyens de faire bloquer un site ou de geler les activités d’une entreprise.